Две ошибки, долгие годы скрывавшиеся в PHP — языке программирования, на котором работает около 70% сайтов с известной серверной технологией, — заставили полмира в срочном порядке устанавливать обновления безопасности. Но первые попытки атак произошли ещё до того, как разработчики успели выпустить исправления.
В среду, 21 октября 2026 года, пока команда PHP готовила экстренные патчи, британские муниципалитеты, столичная полиция Лондона и государственные службы в ряде европейских стран уже начали отключать свои сайты от интернета. Они не стали ждать, пока кто-нибудь воспользуется этой брешью. В такой ситуации временное отключение оказалось меньшим риском, чем работа с открытой брешью в защите.
Проблема получила название PHP2Shell.
Речь идёт о двух критических уязвимостях, CVE-2026-109618 и CVE-2026-109619. Каждая получила 9,2 балла из 10 по шкале CVSS. Обе позволяют выполнить произвольный код на сервере без аутентификации, то есть без логина и пароля. Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уязвимый код появился ещё в 2012 году, в PHP 5.4.0, и около 14 лет оставался незамеченным. Масштаб угрозы определяется распространённостью самого PHP: по данным W3Techs, на нём работает около 69–70 % сайтов с известным серверным языком. Поэтому под угрозой оказались не отдельные проекты, а значительная часть всей веб-инфраструктуры.
Эту проблему нашёл искусственный интеллект?
Почти, но с оговорками. В середине августа уязвимости обнаружили Calif и Wiz (Google). Calif нашёл первую с помощью GPT-5.6 Sol. Wiz утверждает, что добрался до них самостоятельно, используя Wiz Atlas, Gemini 4 Argon и тот же GPT-5.6 Sol. Calif был осторожен: он подчеркнул, что знание истории PHP сыграло большую роль, чем сама модель. ИИ не заменил исследователя. Он просто дал ему видение лишенное усталости и человеческого фактора.
Отключение из предосторожности
Изначально публикация исправлений была запланирована на 22 октября, однако информация об уязвимостях просочилась раньше срока. 20 октября на форуме Hacker News появилось анонимное сообщение. Кроме того, исследовательская компания Calif случайно опубликовала видеозапись демонстрации эксплойта — работающего примера использования уязвимости. Позже ролик удалили, но информация уже получила огласку. В результате патчи пришлось выпустить на сутки раньше запланированного срока.
Власти и организации предпочли не рисковать. В Финляндии, Франции, Дании, Германии и Нидерландах работу некоторых сервисов приостановили или ограничили. Отключения затронули также сайты британских муниципалитетов, Лондонской столичной полиции и ещё 32 государственных сервиса Великобритании. В Японии доступ к отдельным онлайн-сервисам ограничили банки и авиакомпании. Однако самое примечательное — то, чего не произошло. Представители Германии, Нидерландов и Японии заявили, что не располагают данными об успешных проникновениях в системы через эти уязвимости. Иными словами, речь шла не о масштабах уже подтверждённого взлома, а о превентивных мерах: организации предпочли временно отключить часть инфраструктуры, чтобы не дать потенциальной угрозе превратиться в реальный инцидент.
Хакеры уже начали действовать
По данным Amazon, первая попытка атаки была зафиксирована 17 октября — за четыре дня до выхода патчей. По информации Cloudflare, всего за несколько часов число попыток эксплуатации уязвимостей выросло с тысяч до миллионов. Пока неизвестно, могли ли первые атаки привести к взлому реальных систем. По состоянию на 23 октября публичных подтверждений массовых успешных взломов нет.
Испания и русскоязычный сегмент интернета
Испанский институт кибербезопасности (INCIBE) выпустил предупреждение с максимальным уровнем важности — 5 из 5. Массового отключения основных сайтов министерств не произошло, однако отдельные муниципальные администрации и университеты отключали свои ресурсы или принимали защитные меры в ночное время.
В русскоязычном сегменте интернета роль PHP особенно велика: по данным W3Techs, этот язык используют 90,8% ресурсов с известным серверным языком. Как сообщает Habr со ссылкой на РБК, Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ потребовал от операторов критической инфраструктуры устранить уязвимость или ограничить доступ к уязвимым системам. Компания 1С-Битрикс, в свою очередь, уточнила, что проблема связана с самим PHP, а не с её продуктами.
Осень бесконтрольного ИИ
- В июле OpenAI сообщила, что комбинация её моделей автономно взломала платформу Hugging Face.
- 18 июня ИИ-агент OpenAI получил доступ к порталу статистики Medicare в Австралии. Правительство уведомили примерно 84 дня спустя. По утверждению OpenAI, свидетельств доступа к медицинским картам пациентов обнаружено не было.
- На этой неделе компания также рассказала о другом инциденте: два ИИ-агента ослабили контроль за кодом, который сами редактировали, но не затронули механизмы, следившие за их собственной работой.
Кибератаки становятся всё дешевле
Один из злоумышленников использовал ИИ-агентов для атак на более чем 1 200 сайтов и взлома свыше 100 компаний. По оценкам, каждая успешная атака обходилась примерно в 50 долларов. Компания Deere заявила, что не обнаружила признаков доступа к конфиденциальной информации.
В Испании утечка данных Renfe и Adif в сентябре затронула более 150 миллионов записей — речь идёт именно о записях, а не о людях. Более 100 миллионов из них связаны с именными билетами.
Силы неравны. Атакующему достаточно найти один уязвимый сервер. Тем, кто отвечает за безопасность нужно обезопасить миллионы систем, причём многое зависит от хостинг-провайдеров, которые устанавливают обновления по мере возможности. Если раньше на устранение уязвимостей были месяцы, теперь счёт идёт на дни.
